Linux 容器与隔离：namespace、cgroup 与容器运行时原理

容器 = namespaces（隔离视图，假装独占系统）
     + cgroups（限制资源，不许抢占机器）
     + 镜像（打包应用 + 依赖）

# 容器内看进程
docker exec <container> ps aux
# PID 1 是容器自己的主进程，看不到宿主机进程

容器内 uid=0（root）→ 映射到宿主机的非 root uid
→ 容器里的「root」没有宿主机的 root 权限
→ 即使被攻破，也只是宿主机的普通用户

# 查看 cgroup 文件系统挂载
mount | grep cgroup
cat /sys/fs/cgroup/cpu.max        # CPU 配额（如 100000 100000 = 1核）
cat /sys/fs/cgroup/memory.max     # 内存上限

# 用 systemd-run 起一个限内存进程
systemd-run --user --property=MemoryMax=256M --pty bash
# 在容器内验证
cat /proc/self/cgroup

内存超限 → 内核 OOM Killer 杀掉超限进程组
memory.max 是硬墙，memory.high 是软压（触发回收，不杀）

chroot（1979）   → 只换根目录，无资源限制，无网络隔离
BSD jail（2000） → chroot + 独立网络 + 用户限制
Linux VServer / OpenVZ → 内核分区
LXC（2008）     → namespaces + cgroup 组合 → 现代容器雏形
Docker（2013）  → 加上「镜像分层 + 便捷 CLI」→ 引爆容器化

# 用 debootstrap 造一个最小根文件系统，chroot 进去
debootstrap --arch amd64 jammy /opt/rootfs http://archive.ubuntu.com/ubuntu/
chroot /opt/rootfs /bin/bash
# 现在你「以为」自己在最小系统里，但网络/进程/资源毫无隔离

docker CLI
  └─ dockerd（守护进程）
       └─ containerd（容器生命周期管理）
            └─ runc（真正创建容器：调用 namespace/cgroup）

{
  "ociVersion": "1.0.0",
  "process": { "args": ["/bin/sh"] },
  "root": { "path": "rootfs" },
  "linux": {
    "namespaces": [
      { "type": "pid" },
      { "type": "network" },
      { "type": "mount" }
    ]
  }
}

镜像分层：
  layer1: base（Ubuntu 根文件系统）
  layer2: + python
  layer3: + 你的代码
  layer4: 容器可写层（容器运行时才产生）

读：下钻只读层
写：拷贝到最顶层可写层（copy-on-write）
删：白名单隐藏底层文件

// 最小容器：unshare 进入新 PID/UTS/挂载 namespace
package main

import (
	"os"
	"os/exec"
	"syscall"
)

func main() {
	cmd := exec.Command("/bin/sh")
	cmd.SysProcAttr = &syscall.SysProcAttr{
		Cloneflags: syscall.CLONE_NEWPID |
			syscall.CLONE_NEWUTS |
			syscall.CLONE_NEWNS |
			syscall.CLONE_NEWNET,   // 新的 PID/主机名/挂载/网络
	}
	cmd.Stdin, cmd.Stdout, cmd.Stderr = os.Stdin, os.Stdout, os.Stderr
	cmd.Run()
}

# 运行后，sh 的 PID 从 1 开始（宿主机的 PID 它看不到）
go run container.go
# 在里面执行 ps → 只有自己（PID namespace 隔离生效）

ps aux               # 容器内只看得到容器进程
hostname foo         # 改主机名不影响宿主机（UTS ns）
mount | head         # 挂载视图隔离（Mount ns）

1. User namespace 映射（假 root）
2. 只读根文件系统（--read-only）
3. 丢弃能力（--cap-drop ALL --cap-add 最小集）
4. seccomp 限制系统调用
5. 不用 privileged 模式
6. 镜像扫描漏洞

1. 起不来？  → 看日志 / 前台运行定位
2. 能起但错？→ exec 进去看 / 复制文件出来
3. 资源被限？→ 看 cgroup 统计
4. 网络不通？→ 看网络 namespace 与端口映射

# 进入容器调试（临时加调试工具）
docker run -it --rm myimage sh

# 查看 cgroup 使用
cat /sys/fs/cgroup/memory.current

# 看容器底层 PID（宿主机视角）
docker inspect -f '{{.State.Pid}}' <container>

# 用宿主机视角看容器进程
ps -ef | grep <容器主进程>